渗透测试靶场PortSwiggerLabs-xss（1-10）lab详解-EW帮帮网

Lab 1：将 XSS 反射到未编码的 HTML 上下文中

输入字符显示在页面上

<h1>test</h1>对于 html 标签没有编码，可执行

插入弹窗<script>alert(1)</script>

Lab 2：将 XSS 存储到 HTML 上下文中，无需任何编码

这关室存储型 xss，将 script 代码插入到数据库中，常见留言板功能

这样每次访问留言板都会弹窗

Lab 3：document.write使用源的接收器中的 DOM XSS location.search

当我们输入相关字符搜索时，请求 urlhttps://0ac800bb03d854e5805403a5005900d2.web-security-academy.net/?search=bucket，search 传参

图中 javascript 代码定义query，通过window.location.search定位到?search=bucket

通过get('search')拿到我们输入的bucket，传递给query，即 query=bucket

之后通过 trackSearch(query)方法，定义了document.write()在页面写入一个img 标签同时请求一个链接，链接中拼接了query，就是我们输入的字符

当我们插入world" onload="alert(1)时触发弹窗

Lab 4：innerHTML使用源的接收器中的 DOM XSSlocation.search

当我们输入查询字符，值被赋给 query，然后执行doSearchQuery方法，将query的值通过innerHTML将参数值 query 插入到ID为 searchMessage 的HTML元素中
插入<img src=# onerror=alert(1)>

Lab 5：使用源在 jQuery 锚点href属性接收器中进行 DOM XSSlocation.search

$(function() { ... })表示 dom 加载完后自动执行内部函数
$('#backlink').attr("href",...)表示选中 ID 为 backlink的元素，并修改 href属性

于是点击 back 按钮就会访问网站根目录href="/"

于是我们直接输入javascript:alert(1)，点击 back 按钮即可执行 javascript

也可直接输入一个网址，点击即可跳转

Lab 6：使用 hashchange 事件在 jQuery 选择器接收器中引发 DOM XSS

这段代码是一个基于jQuery的哈希变化监听器，用于在URL的哈希部分（#后面的内容）发生变化时，自动滚动页面到匹配的博客标题位置

但是当我们刷新页面时他不会再滚动，因为逻辑是当哈希发生变化时才执行视图滚动

window.location.hash.slice(1)：获取哈希值并去掉开头的 #（例如 #标题1 → 标题1）。
decodeURIComponent：对哈希值解码，处理可能被编码的特殊字符（如中文或空格）。
$('section.blog-list h2:contains(...)')：在 section.blog-list 容器中查找 <h2> 标题内容包含解码后哈希值的元素
在利用时需要考虑如何让#后的数据发生变化，利用到

this.src+=
<iframe src="https://0a4600e8046d180080a08af4002b00f0.web-security-academy.net/#" onload="this.src+='<img src=# onerror=print()>'"></iframe>

这样会先请求https://0a4600e8046d180080a08af4002b00f0.web-security-academy.net/#
然后再请求 https://0a4600e8046d180080a08af4002b00f0.web-security-academy.net/#<img src=# onerror=print()>，就会执行我们的 javascript 代码

Lab 7：将反射式 XSS 注入带有尖括号的 HTML 编码属性

注入" onmouseover="alert(1)进行拼接，鼠标移动即可执行弹窗

Lab 8：存储型 XSS 到href带有双引号 HTML 编码的锚点属性中

测试留言板的位置，可以看到我输入的网址http://abc.com，这里是要求输入作者的名字和一个网址

点击作者名字即可跳转网址

插入javascript:alert(1)点击即可弹窗

Lab 9：将反射式 XSS 注入带有尖括号 HTML 编码的 JavaScript 字符串

输入的 script 标签被 HTML编码

使用';alert();'绕过，将;替换为+``*``-``/都可以

Lab 10：在select 元素中document.write使用源的 DOM XSSlocation.search

进来以后有个点击切换商店的功能，我们看下实现逻辑

var store = (new URLSearchParams(window.location.search)).get('storeId');用来在 url 中查找参数，找到storeId的值赋给store

document.write('<select name="storeId">')会在脚本执行位置插入一个<select>标签，用于表单提交时标识该字段（如提交到服务器时参数名为storeId）

如果存在store，就自动给下拉框加个选项

if(store) {
  document.write('<option selected>'+store+'</option>');
}

这段是便利商店列表，如果输入的 storeId在商店列表就回到循环开始，如果不存在，则添加到下拉列表

最后document.write('</select>');闭合下拉框

for(var i=0;i<stores.length;i++) {
  if(stores[i] === store) {
    continue;
  }
  document.write('<option>'+stores[i]+'</option>');
}

此时我们已经知道我们可以控制的参数是storeId，直接输入<script>alert()</script>

直接执行了 javascript

渗透测试靶场PortSwiggerLabs-xss（1-10）lab详解